A pior hora de um incidente não é quando você sabe que vazaram dados. É quando você ainda não sabe. Este guia mostra o que fazer nas primeiras 24 horas de uma suspeita, quando não existe certeza, o relógio regulatório ainda não começou a correr e cada decisão tomada agora vai definir se a empresa terá defesa depois.
São 18h40 de uma sexta-feira. Um analista percebe um volume estranho de consultas na API. Ou um cliente liga dizendo que recebeu um phishing bom demais, com dados que só a sua empresa tinha. Ou alguém encontra um post em fórum oferecendo uma base que parece a sua.
Nada disso é um vazamento confirmado. Todos são apenas os indícios de um.
E aqui está o problema central da resposta a incidentes no Brasil: quase todo material disponível ensina o que fazer depois da confirmação. Poucos falam da janela cinzenta, que é onde as empresas de fato perdem o caso. As primeiras 24 horas de uma suspeita não confirmada são as que determinam se, três dias depois, você vai ter uma narrativa defensável ou um amontoado de logs sobrescritos e mensagens de WhatsApp contraditórias.
A pergunta errada e a pergunta certa
Quando a suspeita aparece, a primeira pergunta de todo mundo na sala é: “vazou ou não vazou?”
É a pergunta errada. Ou melhor: é a pergunta certa feita cedo demais, e a insistência nela paralisa a organização. Enquanto ninguém tem certeza, ninguém quer decidir nada, porque decidir parece admitir. Então a empresa passa doze horas discutindo se o evento “é um incidente” em vez de agir.
As perguntas certas nas primeiras 24 horas são outras três:
- O que precisa ser preservado agora, antes que se perca?
- O que precisa ser contido agora, mesmo que não haja certeza?
- Quando eu souber, terei condições de provar quando eu soube?
Repare que nenhuma delas exige saber se vazou. Todas podem ser respondidas na incerteza. E todas ficam impossíveis se você esperar a certeza chegar.
O que a lei realmente diz sobre suspeita não confirmada
Aqui está o detalhe técnico que muda tudo, e que a maioria dos artigos sobre o tema simplesmente ignora.
A Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança, define incidente de segurança como “qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais” (art. 3º, XII).
A palavra “confirmado” está no texto. Suspeita não confirmada, tecnicamente, ainda não é considerada um incidente de segurança.
E o prazo? O artigo 6º determina que a comunicação à ANPD seja feita em três dias úteis, e o §1º é explícito sobre a contagem: “O prazo a que se refere o caput será contado do conhecimento pelo controlador de que o incidente afetou dados pessoais.”
Não do evento. Não da suspeita. Do conhecimento de que dados pessoais foram afetados.
Linha do tempo regulatória da comunicação de incidentes. Elaboração DataGuide com base na Resolução CD/ANPD nº 15/2024.
Isso soa como uma boa notícia. Não é, ou pelo menos não só. Existem três armadilhas embutidas nesse desenho:
Armadilha 1: o relógio começa sozinho. Você não escolhe quando “sabe”.
Se a evidência que confirma o vazamento chegou ao seu time técnico na terça às 9h, o relógio começou na terça às 9h, mesmo que a diretoria só tenha sido informada na quinta. Conhecimento do controlador não é conhecimento do CEO. É conhecimento da organização.
Armadilha 2: ignorância deliberada não protege. O artigo 16 do Regulamento prevê o procedimento de apuração de incidente de segurança, pelo qual a ANPD apura, de ofício, incidentes não comunicados de que venha a tomar conhecimento. Ou seja: se você “escolher não confirmar”, a autoridade confirma por você, e aí você responde por ter sido apurado em vez de ter comunicado. Não confirmar por conveniência é uma estratégia que só funciona até a primeira reportagem.
Armadilha 3: três dias úteis é pouco para 12 informações. Quando o relógio começa, ele não começa devagar. O artigo 6º, §2º exige doze informações específicas na comunicação, incluindo número de titulares afetados, causa principal, data de ocorrência e medidas adotadas antes e depois do incidente.
Nada disso se levanta em 72 horas se você não começou a levantar antes.
A síntese:
a janela da suspeita não confirmada é um presente e uma armadilha ao mesmo tempo. É tempo que a lei te dá, mas só serve se você usar. Quem passa a janela cinzenta discutindo se “é um incidente” chega no marco do conhecimento sem nada pronto e com três dias para fazer o trabalho de três semanas.
As primeiras 24 horas, hora a hora
O que segue é um roteiro operacional, não um checklist de conformidade. A lógica é simples: fazer primeiro o que se perde se não for feito agora, e adiar o que pode ser feito depois sem prejuízo.
Roteiro operacional das primeiras 24 horas de resposta a incidentes. Elaboração DataGuide
Hora 0 a 1: acione e comece a registrar
Não investigue ainda. Registre.
Abra um registro do incidente no minuto zero, com data e hora, e anote o que se sabe: quem reportou, por qual canal, o que exatamente foi observado.
Esse registro é a espinha dorsal de tudo o que vem depois, inclusive da sua capacidade de demonstrar, meses adiante, quando o conhecimento se formou.
Acione o Encarregado imediatamente. Não “quando tiver mais informação”. O artigo 6º, §5º determina que a comunicação à ANPD seja feita pelo controlador por meio do Encarregado, acompanhada de documento comprobatório de vínculo.
Um DPO que descobre o incidente no terceiro dia é um DPO que não tem como cumprir o próprio papel.
Abra um canal único de coordenação e feche os outros. Incidente discutido em cinco grupos de WhatsApp gera cinco versões da história, e todas elas são descobríveis depois. Uma sala, um registro, uma versão.
E imponha silêncio externo, com uma exceção: se houver dever contratual de notificar cliente ou parceiro em prazo menor, esse prazo manda. Contratos B2B com SLA de notificação de 24 ou 48 horas são comuns e não esperam a ANPD.
Hora 1 a 4: preserve antes de consertar
Esta é a hora em que a maioria das empresas destrói o próprio caso, com a melhor das intenções.
O instinto do time técnico diante de uma anomalia é limpar: reiniciar o servidor, restaurar o backup, revogar tudo e seguir a vida. Cada uma dessas ações é razoável do ponto de vista operacional e catastrófica do ponto de vista probatório. Memória volátil some no reboot. Log rotaciona. Restaurar backup por cima apaga o rastro do que aconteceu.
Faça, nesta ordem:
- Congele a retenção de logs. Suspenda rotação e expurgo automático em todos os sistemas potencialmente envolvidos. É a ação de maior valor e menor custo das 24 horas inteiras.
- Capture antes de agir. Imagem forense, snapshot, cópia de log. Ainda que ninguém vá analisar hoje.
- Contenha sem destruir. Isolar rede, revogar credencial suspeita e bloquear IP são medidas de contenção que preservam evidência. Reinstalar sistema não é contenção, é apagamento.
- Documente cada ação com hora. O artigo 6º, §2º, III vai exigir as medidas adotadas antes e depois do incidente. “Depois” começa agora.
Regra prática: se a ação for reversível e preservar estado, faça agora. Se for irreversível, espere alguém com autoridade decidir, e registre a decisão.
Hora 4 a 8: delimite o escopo
Agora sim, investigue. Mas investigue a pergunta certa, que não é “o que o atacante fez” e sim “o que ele poderia ter alcançado”.
Escopo por hipótese pior é a única forma de trabalhar na incerteza. Se um acesso indevido tocou um servidor de aplicação que fala com três bases, o escopo inicial são as três bases, e você reduz conforme a evidência permitir. O caminho contrário, começar pequeno e ir crescendo, produz aquele desastre clássico: comunicar 400 titulares na quarta-feira e descobrir 40 mil na sexta.
Três coisas precisam ficar claras até a oitava hora:
- Quais sistemas e bases estão potencialmente no escopo
- Quais categorias e qual natureza de dados pessoais essas bases contêm (o Regulamento distingue as duas: natureza é geral ou sensível, categoria é identificação, autenticação, financeiro e assim por diante)
- Qual a ordem de grandeza de titulares na hipótese pior
Se você tem um inventário de dados atualizado, isso leva duas horas. Se não tem, leva duas semanas, e essa é exatamente a razão pela qual o mapeamento de dados é um investimento de resposta a incidentes, não apenas de conformidade documental.
Hora 8 a 16: rode o teste de risco relevante
A obrigação de comunicar não nasce de qualquer incidente. Nasce do incidente que possa acarretar risco ou dano relevante aos titulares. E o artigo 5º do Regulamento define isso com um teste de duas partes cumulativas que muita gente aplica errado.
Teste cumulativo de risco ou dano relevante. Elaboração DataGuide com base no art. 5º da Resolução CD/ANPD nº 15/2024
O erro comum é tratar a lista do segundo filtro como se ela sozinha decidisse.
O texto exige que o incidente possa afetar significativamente interesses e direitos fundamentais e, cumulativamente, envolva pelo menos um dos seis critérios. São dois portões em série.
O erro oposto, mais raro e mais caro, é usar o primeiro filtro como escapatória retórica para não comunicar nada. O §1º do artigo 5º dá exemplos generosos do que caracteriza afetação significativa: impedir o exercício de direitos ou a utilização de um serviço, danos materiais ou morais, discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras, roubo de identidade.
É uma lista aberta e larga. Vazamento de base de clientes com CPF e telefone dificilmente passa incólume por ela.
Na janela da suspeita, rode o teste por hipótese. “Se confirmado no cenário X, é comunicável? E no cenário Y?” Ter essa análise pronta antes da confirmação é a diferença entre comunicar no prazo e comunicar com pedido de desculpas pelo atraso, que aliás é uma das informações que o formulário exige de você (art. 6º, §2º, V).
Hora 16 a 24: prepare a comunicação que talvez você não precise fazer
Escreva o rascunho. Mesmo sem confirmação. Mesmo achando que não vai precisar.
O artigo 6º, §2º exige doze informações. Vale a pena olhar a lista com a pergunta “quanto tempo eu levo para conseguir isso?” ao lado de cada item.
| # | Informação exigida (art. 6º, §2º) | Quanto tempo leva se você não se preparou |
| I | Natureza e categoria dos dados afetados | Horas, se houver inventário. Dias, se não |
| II | Número de titulares afetados, discriminando crianças, adolescentes e idosos | Dias. Quase ninguém tem esse recorte pronto |
| III | Medidas técnicas e de segurança adotadas antes e depois do incidente | Dias, se a documentação de controles não existir |
| IV | Riscos e possíveis impactos aos titulares | Horas, se o teste do art. 5º já foi rodado |
| V | Motivos da demora, se houver | Minutos, e você não quer preencher este campo |
| VI | Medidas adotadas ou a adotar para reverter ou mitigar | Horas |
| VII | Data da ocorrência, quando determinável, e a do conhecimento | Impossível reconstruir se ninguém registrou na hora |
| VIII | Dados do Encarregado ou de quem representa o controlador | Minutos |
| IX | Identificação do controlador e, se for o caso, declaração de pequeno porte | Minutos |
| X | Identificação do operador, quando aplicável | Horas, se a gestão de fornecedores estiver estruturada |
| XI | Descrição do incidente, incluindo causa principal se identificável | Dias |
| XII | Total de titulares cujos dados são tratados nas atividades afetadas | Dias, sem inventário |
Repare no item VII. Ele é o único que não se reconstrói. Todos os outros você consegue levantar correndo, com dor, pagando consultoria em regime de urgência. A data do conhecimento, se ninguém registrou no momento em que aconteceu, vira uma discussão de memória entre pessoas estressadas.]
Nas últimas horas do primeiro dia, produza também o rascunho do comunicado ao titular. O artigo 9º, §1º exige linguagem simples e de fácil entendimento, e comunicação direta e individualizada sempre que os titulares forem identificáveis. Um texto jurídico defensivo escrito às pressas falha nos dois requisitos. Escrever com calma na véspera é a única forma de escrever bem.
E registre a decisão de não comunicar, se for esse o caso. O artigo 10 obriga a manter registro do incidente inclusive daquele não comunicado, por no mínimo cinco anos, contendo entre outros itens os motivos da ausência de comunicação.
A decisão de não comunicar sem fundamentação registrada é a pior das duas: você não comunicou e não tem como explicar por quê.
Os sete erros que transformam suspeita em multa
| Erro | Por que acontece | Consequência concreta |
| Limpar antes de preservar | Instinto operacional do time de TI | Impossível determinar escopo. Você comunica na hipótese pior ou não comunica e é apurado de ofício |
| Segurar a informação até “ter certeza” | Medo de alarme falso na diretoria | O relógio do art. 6º pode ter começado sem que o Encarregado soubesse |
| Deixar o DPO de fora nas primeiras horas | Percepção de que é assunto técnico | O Encarregado é quem formaliza a comunicação (art. 6º, §5º). Chega despreparado |
| Escopo por otimismo | Vontade de que seja pequeno | Comunicação incompleta, retificação constrangedora, credibilidade zerada perante a ANPD |
| Aplicar só a lista de seis critérios | Leitura parcial do art. 5º | Comunica o que não precisava ou, pior, deixa de comunicar por achar que o filtro é único |
| Não registrar a hora do conhecimento | Ninguém pensa nisso no calor do momento | Único item irreconstituível dos doze. Define se houve descumprimento de prazo |
| Comunicar ao titular em juridiquês | Revisão jurídica defensiva | Viola o art. 9º, §1º, I. E a ANPD pode determinar ampla divulgação às suas expensas se a comunicação for insuficiente (art. 19, §3º) |
O que o custo do tempo diz
O relatório Cost of a Data Breach 2025 da IBM, conduzido pelo Ponemon Institute, mostrou custo médio de R$ 7,19 milhões por violação no Brasil. O tempo médio global para identificar e conter uma violação caiu para 241 dias.
Fonte: Relatório Cost of a Data Breach 2025, IBM e Ponemon Institute, recorte Brasil.
Repare no dado do meio. Comprometimento de terceiros e da cadeia de suprimentos responde por 15% das violações no Brasil e é o vetor mais caro, com média de R$ 8,98 milhões.
Nas primeiras 24 horas, esse é também o cenário mais difícil: a evidência está no ambiente do fornecedor, o contrato pode não prever acesso a logs, e você é o controlador que responde perante a ANPD por um incidente que ocorreu na casa do outro.
Estruturar isso antes é assunto de due diligence de fornecedores críticos, não de resposta a incidentes.
Quando o vazamento nunca se confirma
Existe um final que ninguém escreve sobre: a suspeita que morre. A anomalia era um job mal configurado. O phishing veio de outra base. O post no fórum era blefe.
Nesse caso, o trabalho não foi perdido, e três coisas precisam acontecer.
Feche o registro formalmente. Documente a conclusão, a evidência que a sustenta e quem decidiu. O artigo 10 exige o registro inclusive do incidente não comunicado, com os motivos da ausência de comunicação. Suspeita descartada com fundamentação é peça de defesa. Suspeita esquecida é buraco no histórico.
Descongele o que você congelou. Retenção de log suspensa e esquecida vira custo de armazenamento e, ironicamente, risco de privacidade por retenção excessiva.
Faça o post-mortem mesmo assim. O alarme falso é o único simulado que a vida te dá de graça. Quanto tempo levou para acionar o DPO? Alguém sabia congelar a rotação de logs? Havia inventário para delimitar escopo? Se o exercício expôs lacunas, elas são reais, e a próxima suspeita pode não ser falsa. Aliás, a Estratégia Nacional de Cibersegurança (E-Ciber) prevê exatamente isso, ao incentivar planos institucionais de resposta e a realização periódica de testes e simulações.
O que fazer antes que aconteça
Resposta a incidentes não se improvisa às 18h40 de uma sexta. O que salva a empresa nas primeiras 24 horas foi construído meses antes:
- Inventário de dados atualizado. Determina se delimitar escopo leva horas ou semanas. É o insumo dos itens I, II e XII do formulário da ANPD.
- Encarregado com autoridade e canal direto. Não adianta ter DPO no organograma se ele descobre o incidente pelo jornal. O acionamento precisa ser reflexo, não decisão política.
- Runbook de preservação. Uma página, escrita antes, dizendo exatamente como congelar retenção de logs em cada sistema. Ninguém aprende isso durante o incidente.
- Plano testado, não plano escrito. Simulação de mesa uma vez por ano descobre em duas horas as falhas que o incidente real cobraria em milhões. Um programa de conscientização em segurança da informação que inclua o time de resposta muda o comportamento das primeiras horas.
- Contratos com cláusula de notificação e acesso a evidência. Se o fornecedor não é obrigado a te avisar rápido e te dar log, você é o controlador cego. Isso se resolve na gestão de operadores.
- Evidência prévia de diligência. Registro de pentest e correções documentadas serve como atenuante na análise de responsabilidade, demonstrando que a empresa adotou medidas concretas antes de o incidente ocorrer. Vale tanto para PMEs quanto para empresas SaaS.
- Sistema de gestão que sobrevive ao caos. ISO 27001 e SOC 2 existem em boa parte para garantir que o processo funcione quando as pessoas estão em pânico.
Perguntas Frequentes sobre Resposta a Incidentes
Não. A Resolução CD/ANPD nº 15/2024 define incidente de segurança como evento adverso confirmado, e o prazo de três dias úteis conta do conhecimento pelo controlador de que o incidente afetou dados pessoais. Suspeita em apuração ainda não dispara a obrigação. Isso não significa liberdade para não apurar: a ANPD pode instaurar procedimento de apuração de ofício sobre incidentes não comunicados de que tome conhecimento (art. 16).
Não. A obrigação atinge o incidente que possa acarretar risco ou dano relevante aos titulares, definido pelo art. 5º com dois requisitos cumulativos: afetar significativamente interesses e direitos fundamentais e envolver ao menos um entre dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo ou dados em larga escala. Faltando qualquer um dos dois, a comunicação não é obrigatória. O registro interno, porém, continua devido.
Não. Os prazos são contados em dobro para agentes de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022. Na prática, seis dias úteis para comunicar e quarenta dias úteis para complementar as informações. A empresa precisa declarar essa condição na própria comunicação (art. 6º, §2º, IX).
Sim, e esse ponto passa despercebido com frequência. O art. 10 exige registro do incidente inclusive daquele não comunicado à ANPD e aos titulares, por no mínimo cinco anos, contendo data de conhecimento, descrição, natureza e categoria dos dados, número de titulares, avaliação de risco, medidas adotadas e os motivos da ausência de comunicação.
Resposta a incidentes é uma disciplina de tempo, não de tecnologia. Nas primeiras 24 horas de uma suspeita não confirmada, você não sabe se vazou, não sabe quanto, não sabe como. Mas já sabe o suficiente para preservar evidência, delimitar escopo por hipótese, rodar o teste do artigo 5º e registrar a hora exata de cada coisa.
O relógio regulatório só começa quando o conhecimento se forma. A ironia é que as empresas que usam bem a janela anterior são justamente as que conseguem cumprir o prazo depois. As que ficam paradas esperando certeza chegam ao marco do conhecimento com três dias úteis, doze informações para levantar e nenhuma delas pronta.
A suspeita não confirmada não é o momento de não fazer nada. É o único momento em que você ainda tem tempo.
Sua empresa sabe o que fazer na primeira hora?
A DataGuide atua nos dois lados dessa equação: o DPO as a Service coloca um Encarregado experiente disponível quando o telefone toca fora do horário, com plano de resposta estruturado, avaliação de risco relevante e condução da comunicação à ANPD dentro do prazo.
E o trabalho preventivo, com pentest e certificações em segurança, constrói a evidência de diligência que faz diferença quando o incidente vira processo.
